El phishing es un fraude en el que alguien se hace pasar por una entidad o persona de confianza para robar contraseñas, datos o dinero. En una empresa llega por correo, SMS o llamada y suele acabar en una transferencia al estafador. Si alguien pica, lo que hagas en la primera hora decide cuánto pierdes.
En esta guía tienes las variantes que más afectan a las pymes, cómo reconocerlas, un protocolo de la primera hora paso a paso y qué gastos suele pagar un seguro de ciberriesgos para empresas y autónomos y cuáles no.
Datos clave
- Si el incidente afecta a datos personales, la empresa debe notificarlo a la autoridad de control «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella», salvo que sea improbable que suponga un riesgo para las personas (art. 33.1 del Reglamento (UE) 2016/679, RGPD). En España, esa autoridad es la AEPD.
- Si la brecha puede entrañar un alto riesgo para los afectados, también hay que comunicársela a ellos sin dilación indebida (art. 34.1 del RGPD).
- «Una transferencia es un mandato de pago irrevocable»: sin el consentimiento del beneficiario, el banco no puede devolverla por su cuenta (Portal del Cliente Bancario del Banco de España, 23-06-2020).
- El 017 de INCIBE es un servicio público gratuito y confidencial que atiende también a empresas, de 8:00 a 23:00 todos los días del año; además, WhatsApp 900 116 117 y Telegram @INCIBE017 (La Moncloa, 2026).
- Con una póliza contratada, el siniestro se comunica a la aseguradora en un máximo de siete días desde que lo conoces, salvo que la póliza dé más plazo (art. 16 de la Ley 50/1980, de Contrato de Seguro, texto consolidado a 03-10-2026).
¿Qué es el phishing y cómo funciona en una empresa?
El phishing es un tipo de fraude que se comete sobre todo por correo electrónico, aunque también llega por SMS, redes sociales, mensajería o teléfono, y su objetivo es robar información confidencial y credenciales de acceso (INCIBE, Protege tu empresa). El estafador suplanta a alguien en quien confías: tu banco, un proveedor, un cliente, Hacienda o tu propio jefe.
En una pyme el engaño casi nunca busca solo la contraseña. Busca una de estas tres cosas:
- Credenciales del correo, la banca online o el ERP, para entrar después y preparar un fraude mayor.
- Un pago: una transferencia urgente o una factura con la cuenta bancaria cambiada.
- Un acceso al equipo: un adjunto o un enlace que instala software malicioso, a veces la puerta de un ataque de ransomware.
¿Qué tipos de phishing afectan más a las pymes?
Las variantes que más daño hacen en una empresa son las dirigidas a una persona concreta y las que piden dinero, no las campañas masivas. Esta tabla resume cada una con un ejemplo típico de pyme:
| Variante | Canal | Qué busca | Ejemplo en una pyme |
|---|---|---|---|
| Phishing masivo | Correo | Contraseñas, datos bancarios | Aviso falso de «cuenta bloqueada» de un banco o una paquetería con un enlace para «verificar». |
| Spear phishing | Correo personalizado | Información confidencial de una persona concreta | Un correo dirigido a la responsable de compras que cita un pedido real y adjunta un «albarán». |
| Smishing | SMS | Credenciales, que pinches un enlace | SMS que imita al banco de la empresa y pide confirmar una operación. |
| Vishing | Llamada telefónica | Datos personales y sensibles, códigos | Llamada de un falso técnico del banco que pide el código de un SMS para «anular un cargo». |
| Fraude del CEO | Correo o llamada | Una transferencia urgente | El «director general», de viaje, pide a administración un pago confidencial a una cuenta nueva. |
| Fraude del falso proveedor | Correo | Cobrar una factura legítima en otra cuenta | El «proveedor habitual» avisa de que ha cambiado de banco y envía el nuevo IBAN. |
El smishing es el mismo engaño por SMS y el vishing, por llamada telefónica (INCIBE). El spear phishing es el que se prepara para una persona concreta, con datos reales de su trabajo para que el mensaje resulte creíble.
¿Qué es el fraude del CEO y en qué se diferencia del falso proveedor?
El fraude del CEO busca que un mando intermedio haga una transferencia desde la cuenta de la empresa o pague una factura falsa, suplantando a un alto directivo o a un proveedor habitual (Banco de España). La diferencia está en a quién suplantan:
- Fraude del CEO: hablan en nombre de la dirección. Juegan con la jerarquía, la urgencia y la confidencialidad («no se lo comentes a nadie, es una operación delicada»).
- Falso proveedor: hablan en nombre de alguien a quien ya pagas. No piden un pago nuevo, sino que el de siempre vaya a otra cuenta. Es más difícil de ver porque la factura es real.
En los dos casos el dinero sale con la firma de un empleado de la empresa. Ese detalle es el que más pesa luego con el banco y con el seguro, como verás más abajo.
¿Cómo reconocer un correo o una llamada de phishing?
Se reconoce por la combinación de urgencia, un remitente que no cuadra y una petición fuera de lo normal. INCIBE señala estas alertas (INCIBE, Protege tu empresa):
- El remitente no coincide con la organización que dice ser (y puede estar falseado).
- Urgencia o amenaza: cancelación de la cuenta, multa, sanción.
- Enlaces falseados: al pasar el ratón por encima, la dirección real es otra.
- Mensajes impersonales, sin tu nombre.
- Faltas de ortografía o de gramática.
En pagos, añade una regla de corredor: cualquier cambio de cuenta bancaria o pago fuera de lo habitual se confirma por un canal distinto al que lo pide, llamando al teléfono que ya tenías del proveedor o del directivo, nunca al que viene en el correo. El Banco de España recomienda verificar por teléfono o en persona el cambio de cuenta de un proveedor antes de pagar y que los pagos por encima de un importe los autoricen dos o más personas (Banco de España).
¿Qué hacer en la primera hora si alguien de la empresa pica?
Lo primero es cortar el acceso y, si ha salido dinero, llamar al banco en minutos, no en horas. Este es el orden que recomendamos como corredores:
- Aislar el equipo (minuto 0-10). Desconéctalo de la red y del wifi, sin apagarlo ni borrar nada: el correo, los registros y el propio equipo son pruebas.
- Cambiar credenciales (minuto 10-20). Cambia desde otro dispositivo la contraseña que se haya introducido y las que compartan clave, cierra las sesiones abiertas y activa el doble factor si no lo tenías. Revisa si han creado reglas de reenvío en el correo.
- Avisar al banco (cuanto antes). Si se ha hecho una transferencia, llama a tu oficina o a la línea de fraude y pide que intenten frenarla o recuperarla. Recuerda que el banco no puede revertirla sin el consentimiento del beneficiario (Banco de España), así que cada minuto cuenta para que la cuenta de destino no se vacíe.
- Avisar a la aseguradora o a tu corredor. Si tienes ciberseguro, llama al servicio de respuesta a incidentes antes de tocar nada más (ver nuestros trámites del seguro de ciberriesgos ante un ataque). La ley da un máximo de siete días para comunicar el siniestro, salvo que la póliza fije un plazo más amplio, pero cada póliza tiene su procedimiento: la ficha de nuestro seguro de ciberriesgos pide contactar de inmediato con su servicio de emergencias y notificar el incidente como máximo en 48 horas desde que se conoce.
- Pedir ayuda al 017. La línea de INCIBE resuelve consultas sobre incidencias en empresas, gratis y de forma confidencial.
- Denunciar ante la Policía Nacional, la Guardia Civil o la policía autonómica, con los correos originales (con cabeceras), justificantes de la transferencia y capturas. El banco y la aseguradora te la pedirán.
- Valorar la notificación a la AEPD. Si el atacante ha podido ver o llevarse datos personales de clientes o empleados, tienes 72 horas desde que lo sabes para notificarlo, salvo que sea improbable que suponga un riesgo (art. 33 del RGPD). Apunta la hora en que lo detectasteis: desde ahí corre el plazo.
Ejemplo: cuánto puede costarle a una pyme un falso cambio de cuenta
Ejemplo ilustrativo, no es un caso real. Una distribuidora de 12 empleados paga cada mes unos 18.000 € a su proveedor principal. Un martes, administración recibe un correo con la firma y el estilo de siempre: «Hemos cambiado de banco; a partir de esta factura, pagad a este IBAN». La factura de 18.400 € es correcta. Se paga el jueves. El proveedor reclama el cobro dos semanas después.
| Concepto | Importe del ejemplo | ¿Lo paga un ciberseguro? |
|---|---|---|
| Transferencia enviada a la cuenta del estafador | 18.400 € | Solo si la póliza incluye una cobertura expresa de fraude por ingeniería social o cambio fraudulento de cuenta, y con su límite |
| Análisis forense para saber si entraron en el correo | Según proveedor | Habitualmente sí, dentro de la respuesta a incidentes |
| Asesoría legal y valoración de la notificación a la AEPD | Según caso | Habitualmente sí, si la póliza cubre protección de datos |
| Horas internas perdidas y retraso con el proveedor | Difícil de cuantificar | Normalmente no, salvo pérdida de beneficios por interrupción |
Con dos minutos de llamada al teléfono que ya tenían del proveedor, el pago no habría salido. Con el banco avisado el mismo martes, quizá se habría podido frenar. Dos semanas después, es muy difícil.
¿Qué cubre un seguro de ciberriesgos en un caso de phishing?
Un seguro de ciberriesgos cubre sobre todo los gastos de gestionar el incidente y las reclamaciones de terceros; el dinero transferido por un empleado engañado solo se cubre si la póliza lo dice expresamente. Lo que suelen incluir estas pólizas, según cada contrato:
- Respuesta a incidentes: forense informático, abogado especializado y comunicación de crisis.
- Protección de datos: notificaciones, defensa e investigaciones derivadas del RGPD.
- Responsabilidad civil si se filtran datos de clientes o el ataque salta a terceros desde tus sistemas.
- Pérdida de beneficios si el ataque para tu actividad.
- Fraude por ingeniería social: phishing, vishing, cambio fraudulento de cuentas bancarias o fraude de proveedor, solo cuando la póliza lo incluye y con su propio límite.
El seguro de ciberriesgos que comercializamos en inxur (Stoïk) recoge en su ficha una cobertura de fraude digital que incluye el phishing, el vishing, los deepfakes, el cambio fraudulento de cuentas bancarias y el fraude de proveedor, siempre que se cumplan determinadas medidas de seguridad, como los procedimientos de doble verificación cuando sean exigibles. Incluye además respuesta a incidentes con experto forense, abogado especializado y experto en comunicación de crisis, pérdida de beneficios y la cobertura de RGPD. Los límites y las condiciones exactas dependen de la póliza que se emita para tu empresa: los tienes en la página del seguro de ciberriesgos y te los confirmamos por escrito en el presupuesto.
¿Qué suele quedar fuera del ciberseguro?
Quedan fuera, en general, los incidentes que la propia empresa provoca de forma ilícita o intencionada, por ejemplo incumplir a sabiendas la normativa de protección de datos (INCIBE), y lo que no esté expresamente incluido. Las exclusiones que más vemos en la práctica:
- Transferencias autorizadas por un empleado engañado cuando la póliza no tiene cobertura específica de fraude. Para el banco es una orden válida firmada por la empresa; para muchas pólizas básicas, también.
- Hechos conocidos antes de contratar: si ya sabías del incidente, no se cubre.
- Caídas de proveedores críticos (proveedor de internet, DNS, CDN, telecomunicaciones o suministros) y la guerra cibernética, que la ficha de nuestro producto excluye expresamente.
- Incumplir las medidas de seguridad declaradas al contratar (copias de seguridad, doble factor, antivirus): la aseguradora evalúa tu seguridad antes de firmar y te puede exigir corregir fallos (INCIBE).
Las cláusulas que limitan tus derechos deben ir destacadas de modo especial y aceptadas por escrito (art. 3 de la Ley 50/1980). Léelas antes de firmar, sobre todo la de fraude por ingeniería social.
Errores frecuentes cuando una empresa sufre phishing
- Apagar o formatear el equipo «para limpiarlo». Se pierden las pruebas que piden la policía, el banco y la aseguradora.
- Contestar al estafador desde el mismo hilo de correo para «confirmar». Sigues hablando con él.
- Esperar a ver si el dinero vuelve antes de llamar al banco.
- Dar por hecho que el ciberseguro paga la transferencia. Revisa si tu póliza tiene cobertura de fraude y con qué límite.
- Olvidar las 72 horas de la AEPD cuando el correo comprometido tenía datos de clientes.
Preguntas frecuentes
¿Se puede recuperar el dinero de una estafa por phishing?
A veces, y casi siempre solo si se actúa muy rápido. Una transferencia es una orden irrevocable y el banco no puede devolverla sin el consentimiento del beneficiario, así que la posibilidad real es frenarla antes de que se ejecute o localizar el dinero antes de que salga de la cuenta de destino. Por eso hay que llamar al banco en minutos y denunciar. Si tienes un ciberseguro con cobertura de fraude, la pérdida puede indemnizarse dentro de su límite.
¿Qué es el fraude BEC?
BEC son las siglas en inglés de «compromiso del correo corporativo»: el estafador suplanta o se cuela en el correo de un directivo, de un empleado o de un proveedor para pedir pagos o cambiar cuentas bancarias. El fraude del CEO y el del falso proveedor son sus dos formas más habituales en las pymes. Se frena confirmando cada cambio de cuenta o pago urgente por un canal distinto al correo.
¿Tengo que avisar a la AEPD si un empleado ha picado en un phishing?
Solo si el ataque ha afectado a datos personales y no es improbable que suponga un riesgo para las personas. En ese caso, la notificación debe hacerse sin dilación indebida y, si es posible, en un máximo de 72 horas desde que lo supiste, según el artículo 33 del RGPD. Si solo se ha perdido dinero de la empresa sin acceso a datos personales, no hay brecha que notificar.
¿El ciberseguro cubre el fraude del CEO?
Depende de la póliza. Muchas cubren la respuesta al incidente, la defensa y las reclamaciones de terceros, pero no el dinero transferido por un empleado engañado salvo que incluyan una cobertura específica de fraude por ingeniería social. Antes de contratar, pide que te indiquen por escrito si la incluye, con qué límite y con qué franquicia.
Protege tu empresa antes del próximo correo
Si quieres saber si tu empresa tendría cubierto un fraude como el del ejemplo, déjanos tus datos en el formulario para pedir presupuesto del seguro de ciberriesgos y te lo preparamos sin compromiso, indicando qué coberturas de fraude incluye. Si prefieres hablarlo, llámanos al 911 98 23 30. Para entender el resto de amenazas, tienes nuestras guías sobre los principales ciber riesgos para las empresas y los ciber riesgos en pymes.
Inxur es la web de seguros de Plug Brokers SL, correduría de seguros española inscrita en la DGSFP con la clave J3114.
Fuentes
- Parlamento Europeo y Consejo. Reglamento (UE) 2016/679, General de Protección de Datos (arts. 33 y 34; versión consolidada publicada por la AEPD). Consultado en noviembre de 2026.
- Jefatura del Estado. Ley 50/1980, de 8 de octubre, de Contrato de Seguro (arts. 3, 16 y 17; texto consolidado). BOE. Consultado en noviembre de 2026.
- Banco de España, Portal del Cliente Bancario. Cuidado con la estafa del CEO: ¿sabes cómo funciona este fraude? 23 de junio de 2020. Consultado en noviembre de 2026.
- INCIBE. TemáTICas: Phishing (Protege tu empresa). Consultado en noviembre de 2026.
- INCIBE. Los ciberseguros, el complemento ideal de la gestión de riesgos. 17 de agosto de 2021. Consultado en noviembre de 2026.
- La Moncloa. Teléfono 017: el servicio nacional de ayuda en ciberseguridad. 2026. Consultado en noviembre de 2026.
- Policía Nacional. Denunciar. Consultado en noviembre de 2026.
